Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Cinq millions d'euros, cinq années de procédure, et une doctrine désormais explicite : la sanction prononcée contre IQVIA le 26 mai 2026 est la première décision française visant un exploitant d'entrepôts de données de santé. Elle tranche surtout un débat que beaucoup d'acteurs préféraient laisser ouvert — celui de la frontière entre pseudonymisation et anonymisation.
Par la délibération SAN-2026-008 du 26 mai 2026, la formation restreinte de la CNIL a prononcé une amende de 5 millions d'euros contre IQVIA Operations France, filiale du groupe américain spécialisé dans les données pour l'industrie pharmaceutique, assortie d'une injonction de mise en conformité sous six mois sous astreinte. La procédure trouve son origine dans un reportage télévisé diffusé en 2021, suivi de plaintes de particuliers et d'associations. La société exploite deux entrepôts de données de santé autorisés par la CNIL : LRX, alimenté depuis 2018 par les données d'environ 14 000 pharmacies, et EMR, constitué depuis 2021 à partir de données transmises par plusieurs milliers de médecins, couvrant ensemble plusieurs dizaines de millions de personnes. Quatre familles de manquements ont été retenues : un défaut d'information des personnes, un droit d'opposition inopérant, des mesures de sécurité insuffisantes, et une conception logicielle défaillante. L'apport doctrinal principal tient toutefois au rejet de l'argument central de la défense : une donnée pseudonymisée reste soumise au RGPD dès lors qu'une réidentification demeure raisonnablement possible.
C'est l'enseignement qui dépasse largement le cas d'espèce. IQVIA soutenait que les données traitées dans ses entrepôts, présentées commercialement comme portant sur des patients « anonymisés », échappaient de ce fait au champ du RGPD. La société s'appuyait notamment sur un arrêt de la Cour de justice de l'Union européenne rendu en septembre 2025, invoqué comme fondement d'une lecture plus souple de la notion.
La formation restreinte a écarté cette argumentation. Le critère retenu est celui du risque raisonnable de réidentification : tant qu'un acteur de la chaîne dispose des moyens de rétablir le lien avec une personne, la donnée demeure une donnée personnelle, avec l'intégralité des obligations qui en découlent. Une plaquette commerciale décrivant des patients « anonymisés » ne change rien à la qualification juridique du traitement.
Pour tout exploitant d'entrepôt de données de santé, la conséquence est directe : la qualification d'anonymat ne se déclare pas, elle se démontre. Elle suppose d'établir qu'aucune partie, y compris les partenaires alimentant l'entrepôt, ne conserve les moyens d'une réidentification par des moyens raisonnables.
Le deuxième enseignement porte sur la répartition des responsabilités. IQVIA avait confié aux pharmaciens partenaires le soin d'informer leurs clients de la transmission de leurs données. Lors de contrôles menés dans plusieurs pharmacies, la CNIL a constaté qu'aucune de celles vérifiées ne délivrait effectivement cette information.
La formation restreinte a jugé que cette carence engageait la responsabilité d'IQVIA en sa qualité de responsable de traitement, quand bien même la société n'était pas en contact direct avec les patients. L'autorité en a tiré une conséquence sévère : les personnes voyaient leurs données de santé traitées à leur insu, ce qui les privait de fait de la possibilité d'exercer leurs droits.
Ce raisonnement dépasse le secteur de la santé. Toute organisation qui délègue l'information des personnes à un réseau de partenaires — professionnels de santé, distributeurs, prestataires — reste tenue de s'assurer que cette information est réellement délivrée. La délégation opérationnelle ne fragmente pas la responsabilité juridique.
Le manquement le plus révélateur sur le plan technique concerne la conception même du logiciel déployé dans les pharmacies partenaires. La CNIL a constaté que ce logiciel de gestion transmettait les données des clients à IQVIA y compris lorsque ceux-ci avaient exprimé un refus.
Autrement dit, le dispositif juridique d'opposition existait sur le papier, mais n'avait aucun effet dans la chaîne technique. Un patient pouvait signifier son refus à son pharmacien, celui-ci pouvait l'enregistrer dans le logiciel, et les données partaient malgré tout. La formation restreinte a rattaché ce manquement à l'article 25 du RGPD, relatif à la protection des données dès la conception.
Ce cas illustre une vérification que peu d'organisations mènent réellement : tester de bout en bout qu'un refus exprimé produit effectivement l'effet attendu dans les flux techniques, plutôt que de se fier à la présence d'une case à cocher dans l'interface.
Plusieurs fondements se combinent dans cette décision. Les obligations d'information des personnes prévues par le RGPD, dont la charge incombe au responsable de traitement même en cas de délégation opérationnelle. Le droit d'opposition, qui doit être effectif et non purement formel. Les obligations de sécurité de l'article 32, la CNIL ayant relevé l'absence d'authentification multifacteur sur l'un des entrepôts et une journalisation insuffisamment exploitée. La protection des données dès la conception de l'article 25, au titre du logiciel transmettant les données malgré un refus. S'y ajoute la réalisation d'études hors du cadre légal applicable aux traitements de données de santé à des fins d'intérêt public.
Un point mérite l'attention particulière des exploitants d'entrepôts : les deux entrepôts concernés étaient dûment autorisés par la CNIL. La décision établit qu'une autorisation ne vaut pas quitus permanent et n'exonère pas d'un contrôle ultérieur de sa mise en œuvre effective. Le montant a été calibré au regard de la sensibilité des données, du nombre de personnes touchées, de la position de la société sur son marché et de ses capacités financières (source : CNIL, « Données de santé : sanction de 5 millions d'euros à l'encontre de la société IQVIA », cnil.fr).
Cette décision s'inscrit dans un durcissement plus large de la doctrine de la CNIL sur les entrepôts de données de santé, avec une refonte en cours de ses méthodologies de référence applicables à la recherche et un renforcement annoncé des exigences d'authentification. Pour les acteurs du secteur, la période qui s'ouvre suppose moins de nouvelles obligations que de démonstration effective de celles qui existent déjà.
Sur le plan technique, la position retenue sur la pseudonymisation rejoint celle défendue au niveau européen dans les travaux consacrés à cette notion. Elle oriente vers des architectures où la réduction du risque de réidentification est mesurable et documentée — cloisonnement strict entre identifiants directs et données de contenu, limitation des quasi-identifiants, chiffrement dont les clés restent hors de portée de l'exploitant de l'entrepôt — plutôt que vers des déclarations d'anonymat difficiles à étayer devant une autorité de contrôle.
Message clé : la CNIL établit qu'une autorisation d'entrepôt ne protège pas d'un contrôle, qu'une donnée pseudonymisée reste une donnée personnelle, et qu'une obligation déléguée reste une obligation due.
Pour un exploitant ou un DPO, la question utile n'est donc pas « suis-je autorisé », mais « puis-je démontrer, preuves à l'appui, que le dispositif autorisé fonctionne réellement comme décrit ».
Quel est le montant et la nature exacte de la sanction ? Une amende de 5 millions d'euros prononcée le 26 mai 2026 contre IQVIA Operations France, assortie d'une injonction de mise en conformité dans un délai de six mois sous astreinte journalière.
Quels entrepôts étaient concernés ? Deux entrepôts autorisés par la CNIL : LRX, alimenté depuis 2018 par environ 14 000 pharmacies, et EMR, constitué depuis 2021 à partir de données de plusieurs milliers de médecins.
Pourquoi l'argument des données anonymes a-t-il été écarté ? Parce qu'une donnée pseudonymisée reste soumise au RGPD dès lors qu'une réidentification demeure raisonnablement possible pour un acteur de la chaîne de traitement.
Qui devait informer les patients ? IQVIA avait délégué cette obligation aux pharmaciens, mais la formation restreinte a jugé que la responsabilité en incombait au responsable de traitement, indépendamment de cette délégation.
Quel manquement technique a été le plus marquant ? Le logiciel de gestion déployé en pharmacie transmettait les données à IQVIA même lorsque le patient avait exprimé un refus, en méconnaissance de l'article 25 du RGPD.
Une autorisation CNIL protège-t-elle d'une sanction ? Non, la décision rappelle explicitement qu'une autorisation ne dispense pas d'un contrôle ultérieur de la mise en œuvre effective du dispositif autorisé.
Cette décision concerne-t-elle uniquement les entrepôts de données de santé ? Le cadre est sectoriel, mais deux enseignements sont transposables à tous les secteurs : la responsabilité maintenue en cas de délégation de l'information, et l'exigence de démontrer un anonymat plutôt que de le déclarer.
La CNIL a sanctionné IQVIA Operations France de 5 millions d'euros le 26 mai 2026, dans la première décision française visant un exploitant d'entrepôts de données de santé. Quatre manquements ont été retenus : défaut d'information des personnes, droit d'opposition inopérant, sécurité insuffisante et conception logicielle défaillante. L'apport doctrinal majeur est le rejet de l'argument des données anonymes : une donnée pseudonymisée reste soumise au RGPD tant qu'une réidentification demeure raisonnablement possible.
Pour un exploitant d'entrepôt ou un DPO : documentez précisément pourquoi vos données seraient anonymes plutôt que pseudonymisées, testez de bout en bout que l'expression d'un refus produit effectivement l'arrêt du flux de données, et mettez en place un mécanisme de vérification de l'information réellement délivrée par vos partenaires — un audit ponctuel sur un échantillon vaut mieux qu'une clause contractuelle jamais contrôlée.
Une donnée pseudonymisée reste une donnée personnelle tant qu'une réidentification demeure raisonnablement possible.
Déléguer l'information des personnes à un réseau de partenaires ne délègue pas la responsabilité de s'assurer qu'elle est délivrée.
Une autorisation d'entrepôt porte sur un dispositif décrit, pas sur la manière dont il fonctionne réellement en production.
Imaginez une entreprise qui obtient l'autorisation d'exploiter un dépôt, à condition d'afficher à l'entrée un panneau informant les visiteurs de ce qui y est stocké. Elle confie la pose du panneau à ses partenaires, ne vérifie jamais qu'il est bien installé, et découvre lors d'un contrôle qu'aucun site n'en dispose. L'autorisation existait, la règle était connue, mais rien n'avait été vérifié sur le terrain. La sanction porte sur cet écart entre le dispositif décrit et le dispositif réel.
Trois chantiers découlent directement de cette décision pour les équipes exploitant un entrepôt de données de santé. Le premier concerne la démonstration du niveau de protection : plutôt que de déclarer un anonymat, produisez une évaluation documentée du risque de réidentification, en mesurant par exemple la taille des classes d'équivalence sur les combinaisons de quasi-identifiants présentes dans vos jeux de données, et en cartographiant explicitement quelles parties de la chaîne conservent des moyens de rétablir le lien avec une personne. Le deuxième porte sur la traçabilité du consentement et de l'opposition : le refus exprimé par une personne doit être propagé jusqu'au point de collecte le plus en amont, avec un test automatisé vérifiant qu'aucun flux ne subsiste après enregistrement d'un refus — ce test de bout en bout est précisément ce qui manquait dans le cas sanctionné. Le troisième relève des fondamentaux, régulièrement retenus par la CNIL : authentification multifacteur sur tous les accès à l'entrepôt, journalisation exhaustive des consultations, et surtout exploitation effective de ces journaux, la simple existence de traces non analysées ayant été relevée comme un manquement en tant que tel.